Права пользователей в 1С изменили, а они не работают: как применить

Бухгалтеру добавили право на проведение документов. Он говорит: «Всё равно пишет, что недостаточно прав». Администратор проверяет карточку пользователя, там всё верно. Типичная ситуация, и в 99% случаев дело не в настройках, а в том, как и когда права применяются.

Чтобы обновить права пользователей в 1С, измените профиль или группу доступа в разделе Администрирование — Настройки пользователей и прав, запишите изменения и попросите человека перезайти в программу. Новые роли подхватываются только при запуске сеанса. Ниже — как сделать это без сюрпризов, массово и с проверкой результата.

Что проверить до изменения прав

Сначала выясните, как устроены права в вашей базе. От этого зависит, где их менять.

Перед правкой сделайте четыре вещи:

• 📋 Выясните, кто именно жалуется и что он делает в момент отказа. Запишите текст сообщения дословно.
• 👤 Откройте карточку пользователя и убедитесь, что он не заблокирован и не недействителен.
• 💾 Если меняете профиль, который используют десятки людей, сохраните скриншоты состава ролей.
• 🕒 Выберите время вне пика: у части пользователей изменения применятся только после перезапуска.

Как работает применение прав

В типовых конфигурациях роли не назначают человеку напрямую. Схема такая:

1. Роли объединяют в профиль (например, «Бухгалтер»).
2. Профиль назначают группе доступа.
3. В группу включают пользователей.

Человек получает набор ролей из всех групп, в которые он входит. Если добавить роль в профиль, она появится у всех участников его групп.

Ключевое правило: список ролей читается при входе. Поэтому открытый сеанс прежних прав не увидит. Исключение — ограничения на уровне записей (RLS) и значения доступа: они хранятся в регистрах и обновляются регламентным заданием, но и там возможна задержка.

💡 Если права изменили, а человек просто свернул окно 1С и работает дальше, это тот же старый сеанс. Закрыть программу надо полностью.

Пошагово: меняем права вручную

Описано для типовой конфигурации на управляемых формах. Названия пунктов могут чуть отличаться в зависимости от релиза, но логика та же.

Шаг 1. Найдите пользователя и его группы

1. Откройте раздел Администрирование.
2. Перейдите в Настройки пользователей и прав, затем в Пользователи.
3. Откройте карточку нужного сотрудника.
4. Посмотрите, в какие группы доступа он включён, и какие профили в этих группах.

Шаг 2. Выберите, что менять

Три типовых случая:

• ➕ Нужно добавить одно право одному человеку. Включите его в подходящую группу доступа с нужным профилем.
• 🔁 Нужно расширить права всей роли. Измените профиль: добавьте роли, запишите.
• 🆕 Нужен особый набор для одного отдела. Создайте профиль, затем группу под него.

Шаг 3. Запишите и закройте форму

Нажмите Записать и закрыть. Изменения сохраняются в базе сразу, но у уже вошедших пользователей сеанс остаётся прежним.

Шаг 4. Перезапустите сеанс

Попросите человека полностью выйти из 1С и зайти снова. Если работа идёт через терминальный сервер или веб-клиент, выйти надо из самой сессии: закрытие вкладки браузера не всегда завершает сеанс, он ещё какое-то время висит на сервере.

Администратор может сам отключить сеанс. В клиент-серверной базе это делается в консоли кластера серверов 1С, а в файловой — через Администрирование — Активные пользователи (в зависимости от версии есть возможность завершить работу пользователя ).

Массовое изменение прав без ручного перебора

Если права нужно поменять у 30 бухгалтеров, открывать 30 карточек не нужно. Есть три рабочих способа.

Через профиль

Откройте профиль групп доступа, добавьте или уберите роли, запишите. Все группы с этим профилем получат изменения. Состав групп при этом не меняется.

Через список группы

В форме группы доступа в табличной части участников можно добавить несколько человек за раз: кнопка подбора открывает список, где отмечаются сразу несколько строк.

Через обработку или скрипт

Для сотен пользователей применяют внешнюю обработку . Принцип такой: прочитать таблицу «ФИО — группа», найти пользователя в справочнике, добавить в состав группы, записать.

Группа = Справочники.ГруппыДоступа.НайтиПоНаименованию("Бухгалтеры", Истина);
Если Не Группа.Пустая() Тогда
    ГруппаОбъект = Группа.ПолучитьОбъект();
    // Добавление нового участника в состав группы
    ГруппаОбъект.Пользователи.Добавить().Пользователь = ПользовательСсылка;
    ГруппаОбъект.Записать();
КонецЕсли;

Имена справочников и реквизитов проверьте в своей конфигурации: в разных релизах БСП они могут отличаться. Сначала запустите код на копии базы.

⚠️ Любой скрипт массового изменения сначала тестируйте на копии базы. Откатить запись в группу доступа в рабочей базе не получится без резервной копии.

Домен и Active Directory: что делает аутентификация

В корпоративной сети часто настроен вход по доменной учётке. Тут легко запутаться, поэтому разделим понятия.

• 🔑 Аутентификация отвечает на вопрос «кто это». Её можно отдать операционной системе: в карточке пользователя включается вход через ОС, и указывается доменное имя.
• 🛡 Права отвечают на вопрос «что ему можно». Они хранятся в самой 1С.

Это значит: состав доменной группы сам по себе не меняет роли в 1С. Если сотрудника перевели из отдела в отдел и поменяли ему группу в AD, в 1С придётся отдельно перенести его в нужную группу доступа.

Что делать, если людей много и перестановки частые:

1. Заведите в 1С группы доступа, совпадающие по смыслу с отделами.
2. Периодически выгружайте состав доменных групп и сверяйте с составом групп доступа обработкой.
3. Новых пользователей создавайте по шаблону, чтобы они сразу получали нужный профиль.

Готового механизма, который сам тянет состав групп из каталога и раскладывает по группам доступа, в типовых конфигурациях нет. Если его предлагают, уточняйте, что именно синхронизируется: часто только список пользователей, а не права.

💡 При увольнении отключайте и доменную учётку, и пользователя в 1С. Иначе в базе останется «живой» вход с полными правами.

Проверка: убедитесь, что права действительно применились

Не принимайте «вроде работает» на веру. Проверьте на трёх уровнях.

1. Состав ролей. В карточке пользователя есть отчёт о правах: он показывает итоговые роли из всех групп. Сравните их с ожидаемыми.
2. Реальное действие. Попросите человека выполнить то, что раньше не удавалось. Это единственный честный тест.
3. Режим «от имени». Под своим администратором вы не воспроизведёте чужую проблему. Если в базе есть тестовая учётная запись с тем же профилем, зайдите под ней.

Что проверить, если право есть, а действие не проходит:

• в карточке документа или справочника стоит ограничение доступа к данным (например, по организации или складу);
• пользователь видит не ту организацию в настройках;
• группа доступа помечена как недействующая;
• профиль содержит нужную роль, но она отключена в конкретной конфигурации.

Ниже простая карта симптомов.

Расписание и автоматизация

Полностью автоматизировать выдачу прав можно только там, где правила однозначны. Пара рабочих схем.

Регламентные задания

Часть данных для ограничения доступа система пересчитывает сама по регламентному заданию. Если у вас большая база и ограничения на уровне записей включены, проверьте, что задание не отключено и не зависает. Тогда после изменения групп новые значения доступа применяются с задержкой, и человек может не видеть данные, на которые формально имеет право.

Где смотреть: в консоли регламентных заданий (раздел Администрирование — Обслуживание) найдите задания, связанные с доступом, и проверьте последнее время выполнения.

Своя обработка по расписанию

Если права зависят от внешнего источника (кадровая таблица, список отделов), можно написать обработку, запускаемую по расписанию. Что нужно предусмотреть:

• 📝 журнал: что и когда изменено, чтобы разобраться в спорных случаях;
• 🛑 защиту: пользователи с особыми правами (администраторы) не должны попадать под автоматику;
• ✅ тестовый режим, в котором скрипт только показывает, что собирается сделать.

Типичные ошибки

• ❌ Правят карточку пользователя, а не профиль. В типовых конфигурациях роли, добавленные напрямую, перезаписываются при следующем обновлении групп.
• ❌ Дают роль «Полные права» «на время». Через полгода её снять забывают. Лучше создать отдельный профиль и поставить напоминание.
• ❌ Меняют общий профиль ради одного человека. Права получают все, кто в группах с этим профилем. Для исключения сделайте отдельную группу.
• ❌ Не проверяют результат под тем пользователем. Администратор видит всё, и проблема остаётся незамеченной.
• ❌ Забывают про журнал. Через месяц не вспомнить, кто и зачем расширил доступ.

Если права не применяются

Идите от простого к сложному:

1. Полностью перезапустите клиент и очистите кэш: закройте программу, удалите папку кэша пользователя (путь зависит от версии Windows) и запустите заново.
2. Проверьте, что пользователь входит именно в нужную базу, а не в копию или тестовую.
3. Сравните его итоговые роли с ролями коллеги, у которого всё работает.
4. Временно включите пользователя в группу с заведомо широким профилем и проверьте, исчезнет ли ошибка. Если да, дело в недостающей роли, и можно искать, какой именно. Потом верните как было.
5. Если ошибка касается конкретного объекта, посмотрите, нет ли для него настроенного ограничения доступа.

Когда ничего не помогает, возможно, проблема в доработке: типовая конфигурация изменена, и в неё добавлена своя проверка прав. Тогда нужен разработчик и конфигуратор.

Частые вопросы